Governance van interdepartementale IT-projecten

Transcriptie

1 Artikel van interdepartementale IT-projecten Nathalie Timmer en Ivo Kerkkamp De overheid wil door de strategische inzet van IT de bedrijfsvoering optimaliseren en de informatievoorziening naar de burger verbeteren. Hiervoor zijn verschillende IT-projecten gestart, waarbij meerdere ministeries of overheidsorganisaties betrokken zijn. De laatste jaren heeft een aantal grote interdepartementale IT-projecten vertraging opgelopen of niet het gewenste resultaat opgeleverd. Auteur Drs. I. (Ivo) Kerkkamp is sinds november 2004 als IT-Auditor werkzaam bij EDP Audit Pool. Drs. ing. N. D. (Nathalie) Timmer is sinds februari 2005 als IT-Auditor werkzaam bij EDP Audit Pool. Dit artikel is gebaseerd op de afstudeerscriptie die beide auteurs hebben geschreven in het kader van de afronding van de IT-audit opleiding aan de Vrije Universiteit in Amsterdam. De auteurs hebben dit artikel op persoonlijke titel geschreven. De governance van interdepartementale IT-projecten in overheidsland is vaak complex. Doordat bijvoorbeeld afwijkende belangen spelen of omdat het onduidelijk is wie waarvoor verantwoordelijk is. Daarnaast is er vaak sprake van verschillende uitgangssituaties tussen de deelnemers ten aanzien van de bestaande processen, informatiearchitecturen en systemen. De overheid kan IT-auditors inschakelen om de inrichting en beheersing van interdepartementale IT-projecten te onder - zoeken. Hierbij lopen zij tegen het feit aan dat bestaande raamwerken onvoldoende handvatten bieden voor de specifieke kenmerken van interdepartementale IT-projecten. In aanvulling op de bestaande raamwerken hebben wij een generiek projectgovernanceraamwerk voor deze specifieke kenmerken opgesteld. Dit kan worden gebruikt bij de beoordeling van de inrichting en beheersing van de initiatie-, ontwerp-, realisatie- en afsluitingsfase van interdepartementale IT-projecten binnen de rijksoverheid. In het eerste gedeelte van het artikel gaan we in op het begrip governance binnen de overheid en de samenhang tussen de verschillende vormen van governance die van toepassing zijn op IT-projecten. Daarnaast beschrijven we de specifieke kenmerken van interdepartementale IT-projecten. Vervolgens gaan we in op de praktijksituatie aan de hand van twee interdepartementale IT-projecten waarvoor is nagegaan of en welke maatregelen getroffen zijn in aanvulling op de bestaande modellen voor governance en projectbeheersing. Aan de hand van de confrontatie tussen de theorie en de praktijksituatie hebben wij een generiek projectgovernanceraamwerk opgesteld, dat van toepassing is op de inrichting en beheersing van interdepartementale IT-projecten binnen de rijksoverheid. Het opgestelde raamwerk biedt IT-auditors een handvat waaruit zij een normenkader specifiek voor het te beoordelen project kunnen afleiden. Tot slot hebben wij de mogelijke rollen van de IT-auditor bij interdepartementale IT-projecten belicht. in de theorie Voor overheidsorganisaties is een goede governance, goed bestuur, van belang om resultaten te behalen. Daarnaast is governance van belang voor de verantwoording tegenover de Tweede Kamer, de Provinciale Staten, de Gemeenteraad en uiteindelijk de burger. voorziet in de samenhang van de structuur en processen gericht op de realisatie 44 de EDP-Auditor nummer

2 van de doelstellingen, zoals vastgesteld door het parlement, en de daarbij benodigde transparantie. In de literatuur zijn verschillende definities van governance beschikbaar. In dit artikel hanteren we de definitie van governance zoals door het ministerie van Financiën is uitgewerkt namelijk: het waarborgen van de onderlinge samenhang van de wijze van sturen, beheersen en toezicht houden op een organisatie, gericht op een efficiënte en effectieve realisatie van doelstellingen, alsmede het daarover op een open wijze communiceren en verantwoording afleggen ten behoeve van belanghebbenden [FIN]. In deze definitie staan vier governancecomponenten centraal, waar bestuurders van (overheids-)organisaties invulling aan moeten geven [FIN]: sturing geven aan de strategische richting van een organisatie om te waarborgen dat de gestelde beleidsdoelstellingen worden gerealiseerd; beheersen van de risico s en ervoor zorgen dat de beschikbare middelen van een organisatie op een verantwoorde wijze worden ingezet. In dit artikel werken we dit governancecomponent beperkt uit onder de noemer risicomanagement. toezicht houden op de uitvoering om te waarborgen dat de gestelde doelen worden bereikt; afleggen van verantwoording zodat duidelijk is dat voldaan is aan de geldende wet- en regelgeving. Voor de governance van interdepartementale IT-projecten is een aantal vormen van governance van belang, namelijk ITgovernance, ketengovernance en projectgovernance. In figuur 1 zijn deze verschillende vormen van governance weergegeven in hun onderlinge samenhang. Hieruit blijkt een zekere gelaagdheid. Bínnen de afzonderlijke organisaties wordt invulling gegeven aan IT-, en projectgovernance door middel van bestaande methoden en modellen. Voor interdepartementale IT-projecten is dit nog niet uitgewerkt en zullen bestaande modellen moeten worden aangevuld dan wel nieuwe modellen moeten worden opgesteld. Kenmerken interdepartementale IT-projecten De doelstelling van interdepartementale IT-projecten is meestal het verbeteren van de bedrijfsprocessen en informatievoorziening en in sommige gevallen ook het structureel verbeteren van de bedrijfsvoering. Donkers [DON] heeft een model opgesteld waarin hij op basis van de doelstelling van IT-projecten specifieke kenmerken onderscheidt. Op grond van hun doelstelling worden interdepartementale ITprojecten in dit model gekenmerkt door onder andere schaalgrootte, complexiteit en faalkans. Deze kenmerken hebben wij voor interdepartementale IT-projecten gerubriceerd naar de vier governancecomponenten: Er zijn meerdere overheidsorganisaties betrokken, die samen niet kunnen worden beschouwd als een concernorganisatie waarbinnen één centrale beslissingsmacht aanwezig is. Hierdoor is het van belang dat de betrokken organisaties invulling geven aan een heldere besluitvormingsstructuur, taken, bevoegdheden en verantwoordelijkheden en inrichting van de projectstructuur. De doelstelling van het interdepartementale IT-project wordt vaak niet vooraf helder geconcretiseerd en er is sprake van een door de politiek opgestelde planning, waar door het bij de uitvoering van het project moeilijk is om deze planning op basis van tegenvallers aan te passen. Hierbij is het soms noodzakelijk beslissingen te nemen die in het belang zijn van het op te leveren eindproduct, maar misschien minder in het belang zijn van de deelnemende organisaties. Interdepartementale IT-projecten betreffen meestal tevens Ministerie A Ministerie B Ministerie C (b.v. COSO II) (b.v. COSO II) (b.v. COSO II) Project - (b.v. PRINCE 2) IT - (b.v. COBIT) Project - (b.v. PRINCE 2) IT - (b.v. COBIT) Project - (b.v. PRINCE 2) IT - (b.v. COBIT) Ketengovernance Interdepartementaal project Projectbeheersingsmethode Figuur 1: Overzicht van de gelaagdheid van governance 45 de EDP-Auditor nummer

3 Artikel organisatie-veranderingstrajecten, waarbij gelijktijdig gewerkt wordt aan veranderingen in de organisatie en uniformering in werkprocessen. De IT-systemen die deze geüniformeerde werkprocessen ondersteunen zijn in grote mate afhankelijk van de resultaten van deze trajecten. Er moeten afspraken gemaakt worden tussen de deelnemende organisaties over het gebruik van standaarden binnen het project, zodat bijvoorbeeld de gehanteerde projectbeheersingsmethode, systeemontwikkelingmethode of architectuurprincipes aansluiten op de eisen die de deelnemende organisaties vanuit hun eigen IT-governanceproces hieraan stellen. De opdrachtgever (en budgethouder) hoeft niet altijd de gebruiker te zijn van het op te leveren systeem. De opdrachtgever moet hierdoor balanceren tussen enerzijds het zorgen voor de betrokkenheid van de gebruikers en anderzijds het realiseren van het vastgestelde projectplan en de planning. Projecten waarbij meerdere organisaties zijn betrokken hebben een hoger risicoprofiel. De complexe aard van interdepartementale IT-projecten en de politieke dimensie versterken het belang van het adequaat toepassen van risicomanagement. Hiervoor moeten continu dreigingen worden geïdentificeerd, risicoanalyses worden uitgevoerd en vastgelegd, inclusief bewaking van restrisico s, het monitoren van maatregelen en de communicatie hierover met de opdrachtgever. Hierbij is het van belang om niet alleen risico s op operationeel niveau te adresseren maar ook die op tactisch en strategisch niveau. Toezicht op uitvoering Indien deelproducten van het project door de verschillende betrokken organisaties worden gerealiseerd, moeten de afhankelijkheden en koppelvlakken tussen deze deelproducten worden geïdentificeerd, zodat de relatie en afhankelijkheid van deze deelproducten tussen de organisaties zichtbaar zijn en hierop gestuurd kan worden. Het belang van het beheersen van wijzigingen die tijdens de uitvoering van het project worden doorgevoerd is hoog, omdat tussentijdse wijzigingen verstorend kunnen werken door de onderlinge afhankelijkheden tussen de organisaties en zo de realisatie van de doelstelling in gevaar kunnen brengen. Voor de verantwoording moeten de betrokken stakeholders worden geïdentificeerd. Ook moet worden vastgelegd wat de informatiebehoeften van deze stakeholders zijn. De informatiebehoeften kunnen voor de betrokken organisaties verschillend zijn. Voor alle vormen van governance die van belang zijn bij interdepartementale IT-projecten (zie figuur 1) hebben wij een model of methode geselecteerd. Wij hebben gekozen voor COSO, COBIT en PRINCE2 aangezien dit de meest gebruikte standaarden zijn binnen de rijksoverheid. Deze geselecteerde modellen voor governance en projectbeheersing worden, zoals weergegeven in figuur 1, gebruikt bin nen een organisatie en zijn niet specifiek gericht op toepassing binnen interdepartementale IT-projecten. Vervolgens hebben wij geanalyseerd 1 in hoeverre deze geselecteerde modellen voor governance en projectbeheersing aanknopingspunten konden bieden voor de specifieke kenmerken van interdepartementale IT-projecten. Hieruit bleek min of meer volgens verwachting dat deze geen concrete handvatten bieden. in de praktijk Aangezien de modellen voor governance en projectbeheersing geen invulling geven aan de specifieke kenmerken van interdepartementale IT-projecten hebben we in het praktijkonderzoek twee interdepartementale IT-projecten, P-Direkt en SUB, geanalyseerd. Voor beide projecten hebben we geïnventariseerd op welke wijze binnen deze twee projecten invulling is gegeven aan de vier governancecomponenten: sturing, risicomanagement, toezicht op uitvoering en verantwoording. Daarnaast hebben wij onderzocht welke extra maatregelen getroffen zijn voor de kenmerken van interdepartementale IT-projecten in aanvulling op de gehanteerde projectbeheersingsmethode. P-Direkt Het interdepartementale project P-Direkt is in 2003 gestart met de doelstelling een shared service center voor Human Resource (HR) processen en salarisadministratie te realiseren. Het shared service center heeft de beoogde taak om de personeelsinformatievoorziening, dat wil zeggen de personeelsregistratie en de salarisadministratie, centraal vanuit één uitvoeringsorganisatie te verzorgen voor twaalf ministeries met in totaal ruim personeelsleden. Nagenoeg alle ministeries voerden een eigen personeelsadministratie, waarbij de wijze waarop dit binnen de ministeries was georganiseerd sterk verschilde. In het kabinetsbesluit voor de oprichting van het shared service center is de keuze gemaakt ten aanzien van de scope van de uitbesteding aan de markt en de tijdhorizon. Ten aanzien van de scope van de uitbesteding aan de markt is besloten om het procesontwerp voor de dienstverlening van P-Direkt en de bouw van de systemen uit te besteden in de vorm van een prestatiecontract. Uitgangspunt voor het procesontwerp was standaardisatie van de wijze van uitvoeren, zo veel als mogelijk gebaseerd op geharmoniseerde regelgeving tussen de verschillende deelnemende ministeries. Ten aanzien van de tijdhorizon was in het kabinetsbesluit een beoogde invoeringsdatum opgenomen, namelijk 1 januari Bij een latere oplevering zou de realisatie van de reeds ingeboekte besparingen in gevaar komen [BZK]. Voor de overgang van de ministeries naar de dienstverlening van P-Direkt is op ieder ministerie een projectorganisatie ingericht die de transitie van het ministerie naar P-Direkt moest begeleiden. 46 de EDP-Auditor nummer

4 De aansturing van het project tijdens de uitvoering is in te delen in drie verschillende fasen 2 : In de eerste fase van het project was sprake van een nauwe samenwerking tussen P-Direkt, de ministeries en IBM/ LogicaCMG (ILC). Hierbij was de verantwoordelijkheidsverdeling voor de inbreng van inhoudelijke expertise over de bestaande HR-processen en wet- en regelgeving niet helder gedefinieerd, waardoor niet duidelijk was wie welke expertise inbracht. In de tweede fase van het project werd de verantwoordelijkheid voor de oprichting van P-Direkt expliciet belegd bij de opdrachtgever, het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK). In deze opzet communiceerde alleen de projectorganisatie P-Direkt met ILC, waardoor de noodzakelijke inhoudelijke expertise door de ministeries niet meer werd geleverd. De onder deze opzet opgeleverde producten waren kwalitatief onvoldoende omdat te rigide werd vastgehouden aan deze verantwoordelijkheidsverdeling. Tenslotte is gekozen voor een zogenaamd gemengde opzet, waarin expertise door vier ministeries werd geleverd die in samenspraak met ILC de detailontwerpen vaststelden. De departementale deskundigen hadden hierbij het mandaat van de ministeries die geen expertise leverden. In deze fase was er sprake van een vruchtbare samenwerking en dit leverde kwalitatief betere producten op. De wijze waarop P-Direkt invulling heeft gegeven aan de vier governancecomponenten is hieronder beschreven. Deze invulling is gebaseerd op de lessons learned die zijn opgesteld door de projectorganisatie zelf [PDI] en de resultaten van een audit die is uitgevoerd door de auditdiensten van het ministerie van BZK en het ministerie van Financiën naar de contractrelatie met IBM [BZK]. De genoemde lessons learned zijn niet expliciet uitgesplitst naar de verschillende fasen in de aansturing. P-Direkt zou zich alleen toeleggen op de personeelsregistratie en salarisverwerking, waardoor een gedeelte van de HR-processen nog op ministeries zelf moest worden uitgevoerd. Hierdoor is bij de invulling van de doelstelling door de opdrachtgever onvoldoende rekening gehouden met het feit dat de oprichting van P-Direkt onderdeel moet zijn van de integrale herinrichting van de HR-kolom. De doelstelling is kritisch getoetst door middel van een haalbaarheidsstudie, een businesscase en een kosten-batenanalyse. De ambitie van P-Direkt is vooral binnen het project gecommuniceerd en in beperkte mate naar de toekomstige gebruikers van het systeem (managers en medewerkers), terwijl de introductie van zelfbediening vooral de managers en medewerkers aangaan. Hierdoor was nut en noodzaak van de doelstelling van P-Direkt voor deze gebruikers niet helder. De besluitvorming over issues met betrekking tot de oprichting van P-Direkt vond in de tweede fase van het project plaats in het plaatsvervangende Secretarissen-Generaal (psg)-beraad. In deze periode is een kernteam van psg s ingesteld, dat geen besluiten nam, maar vaststelde wat besluitrijp was en wat verdere verdieping nodig had. Het psg-beraad had geen formele bevoegdheden en daarom is begin 2004 een stuurgroep ingesteld die bestond uit de leden van het psg-beraad. Door de instelling van deze stuurgroep werd het rijksbrede karakter en de gezamenlijke verantwoordelijkheid voor dit project duidelijk zichtbaar. De bewaking van de risico s heeft de opdrachtgever grotendeels overgelaten aan de projectorganisatie P-Direkt en deels aan de contractpartner ILC. Hierbij heeft de opdrachtgever onvoldoende concreet aangegeven op welke wijze het risicomanagement vorm moest krijgen en hoe de opdrachtgever hierover zou worden geïnformeerd. De projectorganisatie heeft risicoanalyses opgesteld. In deze risicoanalyses is geen rekening gehouden met risico s die samenhangen met de uitgangspunten in het kabinetsbesluit, zoals het korte tijdpad, de wijze van aanbesteding en de keuze van het contract. Daarnaast werden risico s niet op gestructureerde en controleerbare wijze geïdentificeerd, geanalyseerd en bewaakt, waardoor de opdrachtgever niet tijdig op de hoogte was van belangrijke risico s die het project liep. Toezicht op uitvoering Voor het toetsen van de inhoudelijke kwaliteit van de door ILC opgeleverde producten maakte P-Direkt gebruik van de input van externe deskundigen. De rol van deze externe partijen kan als de productgerichte kwaliteitsborging (Quality Control) worden beschouwd. Vanuit de opdrachtgever heeft beperkt onafhankelijk toezicht op de uitvoering en het verloop van het project plaatsgevonden. De auditdiensten hadden geen rol in het toetsen van de kwaliteitsborging binnen het project. Door het beperkte onafhankelijk toezicht had de opdrachtgever onvoldoende inzicht in de procesgerichte kwaliteitsborging. Er is aan de stakeholders via meerdere kanalen informatie geleverd. Doordat de volledigheid en tijdigheid van de aanlevering van informatie niet werd gewaarborgd, konden de opdrachtgever, de stuurgroep en de leden van het algemeen projectoverleg onvoldoende invulling geven aan hun verantwoordelijkheden. Bij koerswijzigingen werd de opgestelde business case wel op haalbaarheid van de geformuleerde doelstellingen getoetst. Samenwerking UWV en Belastingdienst (SUB) In 2002 hebben UWV en de Belastingdienst besloten tot een vergaande vorm van samenwerking. Het doel van deze samenwerking was te komen tot een verdere administratieve lastenverlichting voor werkgevers en een besparing op uitvoeringskosten. De informatievraag bij werkgevers neemt af door meervoudig gebruik van gegevens. Werkgevers doen 47 de EDP-Auditor nummer

5 Artikel één gecombineerde aangifte voor de loonheffing (loonbelasting en premies volksverzekeringen) én de premies werknemersverzekeringen. De samenwerking tussen UWV en de Belastingdienst heeft de vorm gekregen van een langlopend project. Voor de uitvoering is een gemeenschappelijke projectorganisatie SUB ingericht. Bij de inrichting van het project onderscheiden UWV en de Belastingdienst de volgende drie verantwoordelijkheidsgebieden: De Belastingdienst is verantwoordelijk voor de onderwerpen/objecten die alleen voor de Belastingdienst van belang zijn. UWV en de Belastingdienst zijn gezamenlijk verantwoordelijk voor de onderwerpen/objecten waar beide partijen direct belang bij hebben. Hiervoor is een gezamenlijke eindverantwoordelijke stuurgroep opgericht met vertegenwoordigers van beide organisaties. UWV is verantwoordelijk voor de onderwerpen/objecten die alleen voor UWV van belang zijn. Hieronder hebben wij beschreven op welke wijze SUB invulling heeft gegeven aan de vier governancecomponenten. Deze invulling is gebaseerd op de integrale probleemanalyse die uitgevoerd is door het beheerteam [SZW] en de onafhankelijke beoordeling hiervan door Het Expertise Centrum [HEC]. UWV en Belastingdienst zijn zelfstandige organisaties met hun eigen verantwoordelijkheden. De Raad van Bestuur UWV en het Management Team Belastingdienst (MT BD) zijn eindverantwoordelijk voor het realiseren en implementeren van de projectresultaten binnen de eigen organisatie. De stuurgroep SUB is in opdracht van de Raad van Bestuur UWV en het MT BD verantwoordelijk voor de besturing van de aspecten van samenwerking, de uitvoering van de projecten in hun onderlinge samenhang en afhankelijkheid en de rapportage daarover. Er is te weinig aandacht besteed aan het creëren van draagvlak op tactisch niveau. Het formele risicomanagement op strategisch en tactisch niveau is wel uitgevoerd, maar er was geen sprake van een geïntegreerde risicoaanpak. De hoofddoelstellingen werden bewaakt, maar de getroffen maatregelen waren niet altijd toetsbaar. Het risicomanagement op operationeel niveau heeft niet of te weinig plaats gevonden. Toezicht op uitvoering De kerntaak van het Programmabureau was toe te zien op de kwaliteitsborging, de financiën en de tijdige oplevering van resultaten. De auditdiensten van beide organisaties hebben audits uitgevoerd op deelprojecten die onder de eigen verantwoordelijkheid vielen. Deze uitgevoerde audits waren gericht op het proces en deels naar de opgeleverde producten. Voor de gezamenlijke producten zijn procesgerichte joint-audits uitgevoerd door beide auditdiensten. Er is geen formele projectbeheersingsmethode gebruikt bij de uitvoering van het project SUB. De kosten en baten waren niet gerelateerd aan een business case. vond plaats door middel van een halfjaarlijkse voortgangsrapportage aan de Tweede Kamer. Conclusies uit het casusmateriaal Uit de analyse van de twee interdepartementale IT-projecten blijkt dat beide projecten op verschillende wijze invulling hebben gegeven aan de vier governancecomponenten. Zo is bij P-Direkt gekozen voor een gezamenlijke uitvoerende projectorganisatie, terwijl bij SUB ervoor gekozen is om de uitvoerende activiteiten bij de verantwoordelijke organisaties te beleggen. Wat opvalt, is dat bij beide projecten te weinig aandacht is besteed aan de componenten risicomanagement en verantwoording. Zo was er geen sprake van een geïntegreerde aanpak voor risicomanagement. Hierdoor was er geen structurele aanpak voor het identificeren, analyseren en bewaken van risico s op strategisch, tactisch en operationeel niveau. Bij het project SUB was geen business case opgesteld, bij P- Direkt was dit wel het geval, maar was de communicatie naar de stakeholders onvoldoende. Daarnaast blijkt uit de analyse dat in beide projecten geen extra maatregelen getroffen zijn voor de kenmerken van interdepartementale IT-projecten in aanvulling op de gehanteerde projectbeheersingsmethode. Generiek projectgovernanceraamwerk Uit de analyse van de theorie is gebleken dat de geselecteerde modellen voor governance en projectbeheersing geen aanknopingspunten bieden voor de specifieke kenmerken van interdepartementale IT-projecten. Dat maakt extra maatregelen nodig in aanvulling op deze raamwerken. In de twee geanalyseerde interdepartementale IT-projecten zijn dergelijke extra maatregelen niet getroffen. Om een handvat te bieden voor de inrichting en beheersing van de verschillende fasen van een interdepartementaal IT-project hebben wij een raamwerk ontwikkeld (figuur 2). De elementen in dit raamwerk zijn gebaseerd op de eerder beschreven kenmerken van interdepartementale IT-projecten. Daarnaast zijn maatregelen uit de geselecteerde modellen voor governance en projectbeheersing specifiek gemaakt voor interdepartementale IT-projecten. Dit raamwerk kan worden gebruikt bij de beoordeling van de initiatie, het ontwerp, de realisatie en de afsluiting van interdepartementale IT-projecten binnen de rijksoverheid. Het raamwerk is geen volledige projectbeheersingsmethode, maar kan gebruikt worden in aanvulling op de reguliere modellen voor governance en projectbeheersing. 48 de EDP-Auditor nummer

6 Initiatie Ontwerp Realisatie Afsluiting Vaststellen en realiseren samenwerkingsbereidheid Bepalen uitganssituatie deelnemende organisaties Vaststellen projectinrichting Opstellen gemeenschappelijke planning Inrichten projectorganisatie op o.b.v. onderkende risico s op o.b.v. informatie uit toezicht op uitvoering Accepteren o.b.v. gezamenlijke acceptatiecriteria Vaststellen en inrichten systeem voor strategisch, tactisch en operationeel riskmanagement Identificeren koppelvlakken Specificeren koppelvlakken Toetsen producten op koppelvlakken Toezicht op uitvoering Vaststellen en inrichten gezamenlijk kwaliteitssysteem Inrichten gezamenlijk configuratiebeheer Onafhankelijke toetsing van de gezamenlijke kwaliteitsborging Bewaking gemeenschappelijke planning Identificeren stakeholders en inrichten communicatielijnen Opstellen businesscase Waarborgen communicatie richting stakeholders Toetsen businesscase Figuur 2: Generiek projectgovernanceraamwerk voor interdepartementale IT-projecten Elementen uit het raamwerk De control objectives voor de elementen uit het raamwerk zijn hieronder beschreven. Een aantal elementen komt ook terug in de reguliere modellen voor governance en projectbeheersing, maar zijn in dit raamwerk specifiek gemaakt voor interdepartementale IT-projecten. Vaststellen en realiseren samenwerkingsbereidheid Interdepartementale IT-projecten worden veelal gestart op basis van een politiek besluit. Daarom moet samenwerkingbereidheid tussen de deelnemende overheidsorganisaties worden gerealiseerd door de betrokkenheid op voldoende hoog ambtelijk niveau binnen de deelnemende organisaties. Bepalen uitgangssituatie deelnemende organisaties De bestaande uitgangssituaties van de deelnemende organisaties moeten eenduidig worden vastgesteld. Hierbij moeten zowel de bestaande processen, als IT-systemen en -infrastructuur worden meegenomen die van toepassing zijn op het gezamenlijke project. Naast het bepalen van de uitgangssituatie van deze objecten, zal ook gekeken moeten worden naar het volwassenheids niveau van de deelnemende organisaties. Uitgangspunt hierbij is dat de organisaties zich op een gelijk niveau moeten bevinden om de interdepartementale samen werking optimaal te laten verlopen. Voor het bepalenvan dit volwassenheidsniveau kan onder andere gebruik gemaakt worden van COBIT of CMM. Vaststellen projectinrichting Bij het vaststellen van de projectinrichting is een heldere rolverdeling tussen actoren en toebedeling van verantwoordelijkheden voor de deelnemende organisaties van belang. Hierbij dient rekening te worden gehouden met de mate van inbreng van departementale expertise. Zo moet een gezamenlijke stuurgroep/ beslissingsorgaan worden ingericht, waarin afgevaardigden van alle betrokken partijen deelnemen die voldoende beslissingsbevoegdheid hebben. Daarnaast dient een voorzitter van de stuurgroep te worden benoemd, dit kan de opdrachtgever zijn, het sterkste deelnemende departement of een onafhankelijke derde. Deze voorzitter heeft de doorslaggevende stem bij conflicten. Opstellen gemeenschappelijke planning Bij de start van het project dient een gemeenschappelijke planning te worden opgesteld; hierin moeten de onderkende risico s en de uitgangssituaties van de deelnemende organisaties worden meegenomen. Tevens moet de planning inzicht geven in het kritieke tijdpad ten aanzien van de onderkende koppelvlakken in de op te leveren ITsystemen. Inrichten projectorganisatie De gezamenlijke projectorganisatie moet conform de vastgestelde projectinrichting worden ingericht. op basis van onderkende risico s In de besluitvorming door de stuurgroep dienen de onderkende risico s meegewogen te worden. op basis van informatie uit toezicht op uitvoering Er dient gewaarborgd te worden dat de stuurgroep de juiste informatie heeft om te sturen tijdens de projectuitvoering. Accepteren op basis van de gezamenlijke acceptatiecriteria Het opgeleverde gemeenschappelijke product dient door de lijn van de deelnemende organisaties formeel te worden geaccepteerd op basis van de vooraf bepaalde gezamen- 49 de EDP-Auditor nummer

7 Artikel lijke acceptatiecriteria. Bij afwijkingen van deze acceptatiecriteria dient dit te worden gemotiveerd. De stuurgroep dient te waarborgen dat acceptatie door alle deelnemende organisaties heeft plaatsgevonden voordat zij decharge verleent aan de projectorganisatie. Vaststellen en inrichten systeem voor strategisch, tactisch en operationeel risicomanagement Er moet een gestructureerd risicomanagementsysteem vastgesteld en ingericht worden. Dit risicomanagementsysteem geeft invulling aan de risicomanagementcyclus, zodat risico s aantoonbaar worden geïdentificeerd, geanalyseerd en bewaakt. Hierbij is het voor de gezamenlijke uitvoering van belang dat naast het onderkennen van risico s op operationeel niveau tevens risico s op tactisch en strategisch niveau worden onderkend, zodat sprake is van een geïntegreerde risicoaanpak. Daarnaast is het van belang dat de vastgestelde uitgangssituaties per deelnemer meegewogen worden in het identificeren en analyseren van de risico s voor de keten. Tevens leveren afwijkingen in volwassenheidsniveaus extra risico s op voor het project, deze moeten geïdentificeerd, geanalyseerd en bewaakt worden. Na vaststellen en inrichten van het risicomanagementsysteem moet de uitvoering van de risicomanagementcyclus gedurende het hele project zijn gewaarborgd. Toezicht op uitvoering Identificeren koppelvlakken Bij de initiatie van het project dienen de koppelvlakken, die onder de gemeenschappelijke verantwoordelijkheid vallen, te worden geïdentificeerd, zodat de afhankelijkheden in de te realiseren keten helder zijn gedefinieerd. Vaststellen en inrichten gezamenlijk kwaliteitssysteem Er moet een gestructureerd gezamenlijk kwaliteitssysteem vastgesteld en ingericht worden, zodat de uitvoering van het project wordt geanalyseerd en bewaakt. Dit gezamenlijke kwaliteitssysteem dient aan te sluiten op de inrichting van de projectorganisatie. Bij de inrichting van een gemeenschappelijk kwaliteitssysteem dient een onderscheid ge maakt te worden in kwaliteitsborging binnen de project organisatie en onafhankelijk van de projectorganisatie. Specificeren koppelvlakken De geïdentificeerde koppelvlakken dienen concreet gespecificeerd te worden, zodat voor alle deelnemende organisaties helder is wat het uiteindelijke koppelvlak zal zijn en welke eisen daaraan worden gesteld. Inrichten gezamenlijk configuratiebeheer Om de gemeenschappelijke elementen te beheersen dient een gezamenlijk configuratiebeheer ingericht te worden. Bewaking gemeenschappelijke planning Tijdens de uitvoering van het project moet regelmatig getoetst worden of het project conform de gezamenlijke planning verloopt. Tevens is het van belang dat getoetst wordt in hoeverre de deelnemende organisaties hun eigen activiteiten uitvoeren conform deze planning. Bij afwijkingen van de gezamenlijke planning dient dit altijd gerapporteerd te worden aan de stuurgroep. Toetsen producten op koppelvlakken Tijdens de uitvoering van het project dienen de opgeleverde producten die van toepassing zijn op geïdentificeerde koppelvlakken te worden getoetst aan de vooraf opgestelde specificaties. Daarnaast moet getoetst worden of deze producten een bijdrage leveren aan het behalen van de doelen zoals geformuleerd in de gemeenschappelijke business case. Onafhankelijke toetsing van de gezamenlijke kwaliteitsborging Indien noodzakelijk, dient een onafhankelijke toetsing plaats te vinden op de gezamenlijke kwaliteitsborging. Deze onafhankelijke toetsing dient door de opdrachtgever te worden geïnitieerd. Identificeren stakeholders en inrichten communicatielijnen In de initiatiefase dienen alle stakeholders aan wie verantwoording moet worden afgelegd, te worden geïdentificeerd. Er dient bepaald en vastgelegd te worden welke informatie, op welk tijdstip en op welke manier, gecommuniceerd wordt naar de stakeholders. Opstellen business case De projectorganisatie moet in samenwerking met de stuurgroep een business case opstellen, waarin het waarom van het project beschreven wordt. Bij het opstellen van de business case is het van belang dat deze aansluit op de doelstellingen van de keten, in plaats van alleen op de individuele organisaties. Waarborgen communicatie richting stakeholders Er dient gewaarborgd te worden dat de stakeholders op het juiste tijdstip de juiste informatie ontvangen. Toetsen business case Gedurende de ontwerp-, realisatie- en afsluitingsfase van het project dient tussentijds te worden getoetst of de business case nog steeds haalbaar is en of het project in lijn met de business case wordt uitgevoerd. Hierover wordt gerapporteerd aan de stuurgroep. Bij afwijkingen zal de stuurgroep een besluit moeten nemen over de verdere uitvoering van het project of mogelijke aanpassingen in de business case. Rol IT-auditor Tot slot hebben wij de rol van de IT-auditor bij interdepartementale IT-projecten geanalyseerd. Hiervoor hebben we eerst de positionering van de verschillende kwaliteitsbeheersingsrollen binnen de projectgovernance van interdepartementale IT-projecten in kaart gebracht. Vervolgens hebben we bepaald op welke wijze een IT-auditor deze rollen kan vervullen. Positionering van de kwaliteitsbeheersingsrollen Voor de inrichting van de kwaliteitsbeheersing en -borging binnen een project wordt in het algemeen een tweetal rollen onderkend: de procesgerichte kwaliteitsborging, Quality Assurance (QA), en de productgerichte kwaliteitsborging, 50 de EDP-Auditor nummer

8 Quality Control (QC). Bij interdepartementale IT-projecten is een sterke QA-rol zeer belangrijk, omdat door de complexe aansturings- en uitvoeringsconstructies het van belang is dat de kwaliteitsprocessen op uniforme wijze zijn ingericht en worden uitgevoerd. De QC-rol is bij deze projecten met name van belang omdat de deelproducten door verschillende organisaties worden opgeleverd. De QC-rol moet hierbij expliciet toezien op de juiste werking van de koppelvlakken in deze producten. Aanvullend verdient het aanbeveling een IT-auditor een onafhankelijke beoordeling te laten uitvoeren. In dat geval kan gekozen worden voor de beoordeling van het totale stelsel van maatregelen voor de beheersing van de projectuitvoering en aansturing, waarbij ook het opdrachtgeverschap en de sturing vanuit de stuurgroep wordt beoordeeld. Tevens kan een IT-auditor de opdracht krijgen een beoordeling uit te voeren op een van de elementen die genoemd zijn in het generieke projectgovernanceraamwerk. Samenwerking tussen de betrokken auditdiensten Bij interdepartementale IT-projecten moet rekening worden gehouden met het gegeven dat deelnemende organisaties beschikken over eigen auditdiensten, die soms onderling verschillende accenten leggen en prioriteiten hanteren bij het beoordelen van projecten. De beoordeling van de beheersing van de gezamenlijkheid van het interdepartementale IT-project, kan worden beschouwd als een ketenaudit. Een ketenaudit wordt toegepast om een oordeel of advies te geven over de beheersing van een keten als geheel ten aanzien van een gekozen object van onderzoek. Hierbij richt de ketenaudit zich alleen op dat aspect of onderdeel dat bijdraagt aan het gemeenschappelijke doel en de beheersing van de keten [INT]. Voor de wijze van samenwerking tussen de auditdiensten van de deelnemende organisaties is in eerder verschenen artikel in De EDP-Auditor [BRU] een aantal samenwerkingsmodellen beschreven. In de initiatiefase van een interdepartementaal IT-project worden de grove contouren van de keten ontworpen. Hierbij kan de ketenaudit zich richten op de realiseerbaarheid van een beheersbare keten binnen de (gemaakte) strategische afspraken. Omdat hierbij veelal geen contact is tussen de auditdiensten van de deelnemende organisaties is het grondmodel [BRU] hierbij van toepassing. In dit model is geen sprake van een gemeenschappelijke basis voor het uitvoeren van een audit. Hierbij worden de audits uitgevoerd door één auditdienst en hebben de audits betrekking op één processtap uit de keten. In het ideale geval worden in deze fase de auditdiensten van de deelnemende organisaties betrokken, zodat zij gezamenlijk de haalbaarheid van het ketenontwerp kunnen beoordelen. Voor de ontwerp- en realisatiefase van de keten is het wenselijke samenwerkingsmodel afhankelijk van het type keten dat wordt gerealiseerd. Uit de praktijkanalyse blijkt dat met name bij SUB en in mindere mate bij P-Direkt sprake was van een keten met gelijkwaardige partners. Hierbij ligt het voor de hand om volgens het centrifugemodel een gezamenlijke audit uit te voeren. Dit model gaat uit van een gezamenlijke uitvoering van de gehele ketenaudit. Hierbij is sprake van grote mate van samenwerking tussen de auditdiensten. Voor de gehele keten wordt door de samenwerkende IT-auditors een gezamenlijke verklaring of mededeling afgegeven. Tot slot Interdepartementale IT-projecten zijn grote, langdurige en complexe projecten, waarbij de faalkans en de kosten (zeer) hoog zijn. De reguliere modellen voor governance en projectbeheersing bieden onvoldoende aanknopingspunten voor de specifieke kenmerken van interdepartementale ITprojecten. Uit onze analyse van twee interdepartementale IT-projecten is gebleken dat in de praktijk geen extra maatregelen getroffen zijn in aanvulling op de reguliere modellen voor governance en projectbeheersing. Wij menen daarom dat er behoefte is aan een raamwerk dat behulpzaam kan zijn bij het opzetten van een stelsel van specifiek op interdepartementale IT-projecten gerichte aanvullende maatregelen. Wij denken dat het door ons opgestelde projectgovernanceraamwerk van toegevoegde waarde is bij de verschillende fasen van interdepartementale IT-projecten. Hierbij willen de kanttekening plaatsen dat waarde van het raamwerk in de praktijk nog aangetoond moet worden. We zijn dan ook benieuwd naar ervaringen van collega IT-auditors die dit raamwerk gaan toepassen. Literatuurlijst [BRU] Bruijn, de A.J.M., Meer, van der A.J., Nieuwenhuizen P.C.J.,Slot, M.C.M en Staveren, van B.J.; Ketengovernance: ketensamenwerking binnen het publieke domein. De EDP-auditor nr [BZK] Auditdienst BZK en Auditdienst Financien, Onderzoek contractrelatie P-Direkt, [DON] Donkers, H., Project en Risk Management binnen projecten, presentatie NOREA, [FIN] Ministerie van Financien, Dossier governance, [HEC] Het Expertise Centrum, Beoordeling Integrale Probleemanalyse Loonaangifteketen, [INT] Interdepartementaal onderzoeksteam, Ketenauditing een logisch vervolg op interdepartementale samenwerking, juni [PDI] P-Direkt, Lessons Learned P-Direkt First Opinion inzake verbeterpunten van de oprichting van P-Direkt, [SZW] Beheerteam Belastingdienst en UWV, Integrale Probleemanalyse Loonaangifteketen, Noten 1 De volledige analyse is na te lezen in de scriptie van interdepartementale IT-projecten ( 2 Het project P-Direkt is nog niet afgerond. De uitgevoerde analyse heeft betrekking op de uitvoering van het project tot aan het verbreken van de contractrelatie met ILC. Inmiddels is het project in een nieuwe fase van aansturing beland. Deze fase wordt niet behandeld in dit artikel. 51 de EDP-Auditor nummer